Budget 2025 : Cadre canadien des services bancaires axés sur les consommateurs

1. Introduction

Les services bancaires axés sur les consommateurs, aussi appelés services bancaires ouverts, désignent un cadre sécurisé qui permet aux entreprises et aux particuliers canadiens de partager leurs données financières aux fournisseurs de services approuvés de leur choix. Ce cadre donnera aux consommateurs^{Footnote 1} un plus grand contrôle sur leurs données tout en favorisant un secteur financier compétitif et novateur qui renforcera la position du Canada dans l'économie numérique mondiale.

L'absence d'un tel cadre sécurisé fait qu'actuellement environ neuf millions de Canadiens partagent leurs données financières en fournissant leurs renseignements d'identification confidentiels dans un processus appelé capture de données d'écran. Ces consommateurs font ainsi face à des risques accrus en matière de sécurité, de responsabilité et de vie privée, et peuvent se retrouver sans recours en cas de problème. Le cadre des services bancaires axés sur les consommateurs s'attaquera à ces risques en utilisant des interfaces de programmation d'applications (API), un type de technologie qui offre une connexion de communication plus sécurisée entre les entités.

1.1 Que feront les services bancaires axés sur les consommateurs?

L'objectif du cadre canadien des services bancaires axés sur les consommateurs est de promouvoir l'innovation dans le secteur financier, d'améliorer les résultats financiers des Canadiens, et de s'assurer que les consommateurs puissent partager leurs données en toute sécurité. Dans d'autres pays, les cadres réglementés se sont révélés efficaces pour atteindre ces objectifs stratégiques en autonomisant les consommateurs, en améliorant l'accessibilité des données et en soutenant de nouveaux fournisseurs de services financiers et modèles d'affaires^{Footnote 2}.

Donner aux Canadiens un plus grand contrôle sur leurs données financières ouvre la porte à de nouveaux produits financiers et à un plus grand choix entre les fournisseurs, favorisant ainsi un secteur financier plus dynamique et une économie plus productive. En offrant ces nouvelles possibilités, on améliorera la prise de décision financière, on réduira les coûts et on offrira des produits et des services plus adaptés aux consommateurs.

Avantages des services bancaires axés sur les consommateurs

Par exemple, les consommateurs qui utilisent les services bancaires axés sur les consommateurs pourront tirer parti des données liées à leurs paiements de loyer à temps pour démontrer leur solvabilité, ce qui améliorera leur accès au crédit et renforcera leur inclusion financière. Les consommateurs pourront également partager leurs données aux fins de décisions de crédit, ce qui pourrait mener à un plus grand choix d'options d'emprunt et à de meilleurs taux. Pour les petites et moyennes entreprises, un accès accru aux outils fondés sur les données peut aider à simplifier le processus de la paye et d'autres fonctions administratives, et leur donner un meilleur accès au capital dont elles ont besoin pour faire croître leur entreprise.

1.2 Objectifs stratégiques du Cadre canadien des services bancaires axés sur les consommateurs

Trois objectifs de politique publique ont guidé l'élaboration du Cadre canadien :

• Concurrence, innovation et croissance économique : accélérer la croissance de l'économie numérique canadienne tout en soutenant les nouveaux entrants, les institutions financières existantes et les innovateurs locaux. Le partage réglementé de données permettra de préserver un secteur financier canadien sécuritaire et stable, tout en favorisant l'innovation et la concurrence.
• Bien-être financier et protection des consommateurs : s'assurer que les Canadiens peuvent partager leurs données en toute sécurité à des fournisseurs de services financiers plus fiables. Le partage réglementé de données donnera aux consommateurs le contrôle sur leurs données et établira des règles cohérentes qui limitent la responsabilité des consommateurs, garantissent la sécurité des données durant leur transmission, et éliminent les pratiques dépassées comme la capture de données d'écran.
• Sécurité et solidité : Renforcer l'intégrité globale du secteur financier en s'attaquant aux risques liés aux pratiques existantes de partage de données. Établir un processus d'accréditation solide et de supervision du cadre garantira que les entités participantes répondent à des normes élevées de sécurité et de fiabilité, tout en soutenant la stabilité et la confiance du secteur financier .

2. Plan d'action

Le gouvernement proposera deux modifications législatives clés dans le cadre de la Loi d'exécution du budget de 2025 :

• Des modifications législatives viendront compléter la Loi sur les services bancaires axés sur les consommateurs, en y incluant des dispositions relatives à l'accréditation et des règles communes portant sur la sécurité, la sécurité nationale, la responsabilité et le consentement. Des modifications supplémentaires renforceront la concurrence en tant qu'objectif clé du cadre, clarifieront l'inclusion des petites et moyennes entreprises, et veilleront à ce que les objectifs de politique publique du Canada puissent être atteints par l'intermédiaire de l'organisme de normalisation technique désigné. Les modifications permettront également de simplifier la gouvernance et l'accréditation en tirant parti du rôle de surveillance que joue la Banque du Canada en vertu de la Loi sur les activités associées aux paiements de détail et pour les fournisseurs de services de paiement enregistrés.
• Pour souligner l'importance de l'innovation axée sur les données et son rôle dans le renforcement de la concurrence, la mesure législative modifiera également la Loi sur la protection des renseignements personnels et les documents électroniques afin de garantir aux Canadiens un droit à la portabilité des données à l'échelle de l'économie, dans les secteurs qui mettent en place des cadres sécurisés et interopérables. Les services bancaires axés sur les consommateurs seront la première version d'un tel cadre. Cette mesure jettera les bases permettant aux consommateurs d'avoir un meilleur contrôle sur leurs renseignements, tout en favorisant une plus grande concurrence, en générant des retombées économiques plus vastes, et en alimentant la collaboration intersectorielle.

Sous réserve de la sanction royale, le gouvernement passera rapidement à l'action pour faire progresser la réglementation tout en soutenant la Banque du Canada dans la mise en œuvre de la première phase des services bancaires axés sur les consommateurs. Le ministère des Finances mènera simultanément des travaux de consultation et d'élaboration de politiques au cours des 12 à 18 prochains mois pour faire avancer une deuxième phase des services bancaires axés sur les consommateurs, au cours de laquelle on envisagera d'accroître la portée en ce qui concerne la fonctionnalité et les participants.

Ce travail portera sur l'« accès en écriture », la capacité à amorcer une action à partir d'un compte. Cette fonctionnalité permettrait aux consommateurs d'effectuer des paiements ou de gérer l'adhésion à un produit ou un service auprès des entités participantes grâce aux services bancaires axés sur les consommateurs. Au-delà de l'accès en écriture, plusieurs grandes économies posent les bases de la « finance ouverte » et des « données ouvertes » dans le but de faire progresser l'infrastructure publique numérique. Selon des estimations récentes, le projet de loi Data (Use and Access) Bill du Royaume-Uni aboutira à un coup de pouce économique de 10 milliards de livres sterling sur 10 ans^{Footnote 3}. En inscrivant un droit à la portabilité des données dans la législation fédérale sur la protection de la vie privée, le Canada franchit une étape supplémentaire vers la concrétisation des avantages du partage intersectoriel de données.

2.1 Gouvernance

La conception de la gouvernance est essentielle pour s'assurer que le cadre atteint ses objectifs de politique publique. Un cadre de gouvernance solide fera en sorte que les entités participantes respectent des règles communes en définissant clairement les rôles et les responsabilités des entités participantes et du gouvernement, ainsi que les mesures à prendre en cas de non-respect des règles.

Pour améliorer l'efficacité gouvernementale et prendre en compte la surveillance actuelle de la Loi sur les activités associées aux paiements au détail, la responsabilité de la mise en œuvre et de la surveillance du Cadre canadien des services bancaires axés sur les consommateurs sera déléguée à la Banque du Canada. Ce changement correspond également à l'intention du Gouvernement d'accélérer la progression vers la prochaine phase des services bancaires axés sur les consommateurs, qui comprendra une fonctionnalité d'accès en écriture, comme l'initiation de paiements. Une fois le cadre en place, la surveillance des services bancaires axés sur les consommateurs se déroulera selon un modèle de recouvrement des coûts.

Toutes les entités participantes seront assujetties au cadre des services bancaires axés sur les consommateurs et à la surveillance de la Banque du Canada. Pour faciliter la participation des institutions financières sous réglementation provinciale, le modèle de gouvernance sera structuré de manière à permettre aux coopératives de crédit provinciales et aux sociétés d'État qui agissent comme des banques de choisir d'« adhérer » au cadre. Les provinces et les territoires conservent le pouvoir d'imposer leurs propres exigences aux entités relevant de leur compétence, et les entités participantes devront continuer à respecter tous les cadres fédéraux et provinciaux applicables.

Le cadre des services bancaires axés sur les consommateurs comprend des mécanismes visant à protéger la sécurité nationale, ainsi que l'intégrité et la sécurité du cadre des services bancaires axés sur les consommateurs et du secteur financier. La Loi sur les services bancaires axés sur les consommateurs confère au ministre des Finances le pouvoir de traiter les risques liés à la sécurité nationale. L'exercice de ces pouvoirs par le ministre sera soutenu par les organismes de sécurité et de renseignement.

Le ministère des Finances conservera son rôle en matière d'élaboration de politiques et de législation et réglementation.

2.2 Faciliter la participation des provinces et territoires

À la suite d'une mobilisation soutenue des gouvernements provinciaux et territoriaux, le Gouvernement modifie la Loi sur les services bancaires axés sur les consommateurs afin de conférer au ministre des Finances le pouvoir de désigner un organisme de réglementation provincial chargé de surveiller l'application de certaines dispositions de la Loi à l'égard des entités relevant de sa compétence (p. ex. les coopératives de crédit provinciales). Dans les provinces où cette désignation a eu lieu, certaines parties de la Loi seraient sous la surveillance de la Banque du Canada, et d'autres sous la surveillance de l'organisme de réglementation provincial compétent. Les dispositions pouvant relever de l'organisme désigné concernent les domaines dans lesquels les provinces surveillent déjà les institutions financières provinciales, notamment la sécurité, la protection de la vie privée (y compris le consentement du consommateur et l'authentification), la responsabilité, les plaintes et la protection des consommateurs. Les dispositions relatives à l'accréditation (adhésion au cadre), à la suspension et à la révocation, ou à la sécurité nationale, demeureront de la compétence du gouvernement fédéral.

Une fois qu'un accord ou protocole d'entente est conclu avec la Banque du Canada et qu'un arrêté ministériel aura été pris, l'organisme de réglementation provincial ou territorial désigné se verra confier la responsabilité de surveiller l'application des dispositions convenues. Si un organisme de réglementation désigné détermine qu'une violation de la Loi a eu lieu, il travaillera en collaboration avec la Banque du Canada pour décider des prochaines étapes à suivre. La Banque du Canada conservera les pouvoirs d'exécution lui permettant d'imposer des amendes et des pénalités, qu'elle appliquera de façon uniforme dans toutes les provinces, peu importe la province où se trouve l'entité participante, et elle travaillera en étroite collaboration avec les organismes de réglementation provinciaux à cet égard.

Cette mesure législative prévoit aussi la mise sur pied d'un comité consultatif permanent fédéral-provincial-territorial dont le rôle sera d'éclairer le travail de la Banque du Canada sur l'administration et la mise en œuvre du cadre. Le comité consultatif aura également un rôle d'éclairage relatif à l'élaboration de lignes directrices uniformes concernant les pénalités, y compris les sanctions administratives pécuniaires.

Cette approche permet de préserver un fondement cohérent des normes de référence qui fait en sorte que tous les Canadiens bénéficient d'une même protection, et que toutes les entités participant au cadre fonctionnent sur un pied d'égalité, tout en offrant souplesse aux provinces et une cohérence aux institutions financières réglementées par les provinces. Le Gouvernement demeure déterminé à travailler avec les provinces pour assurer une approche cohérente en matière de réglementation, éclairée par les contributions des provinces.

2.3 Portée

La portée du cadre détermine quelles entités peuvent participer, l'ampleur du partage de données et la fonctionnalité.

Le Gouvernement exigera dans un premier temps la participation des banques en fonction d'un seuil concernant le volume de services au détail. Les autres institutions financières sous réglementation fédérale, ainsi que les coopératives de crédit, les sociétés d'État qui agissent comme des banques, les fournisseurs de services de paiement enregistrés et d'autres entités souhaitant être accréditées pourront y adhérer volontairement, à condition de satisfaire aux exigences d'adhésion et de démontrer leur conformité aux spécifications techniques et en matière de sécurité.

À la demande d'un consommateur, les entités participantes devront partager les données du consommateur, les renseignements sur le compte, le solde, les transactions ainsi que les produits qu'elles détiennent pour les dépôts (chèques et épargne), les produits de paiement, les investissements (enregistrés et non enregistrés) et les comptes de prêt (garantis et non garantis).

Les données dérivées sont exclues de la portée de la Loi sur les services bancaires axés sur les consommateurs. Les données dérivées désignent des données se rapportant à un consommateur, un produit ou un service, qui ont été améliorées par une entité participante afin d'accroître sensiblement leur utilité ou leur valeur commerciale. Voici des exemples non exhaustifs et illustratifs de ce qui peut être considéré comme des données dérivées : 

• le résultat d'une évaluation comme la cote de crédit d'un consommateur, provenant de l'institution elle-même ou d'un tiers tel qu'une agence de notation;   
• la catégorisation des dépenses à partir des données de compte, par exemple le loyer, l'épicerie ou les paiements automobiles;  
• les recommandations en matière d'épargne et de budgétisation basées sur l'analyse des données sur le compte;    
• l'insuffisance (ou l'excédent) de fonds à prévoir en fonction des comportements en matière de dépenses observés dans le passé. 

Pour favoriser la concurrence et l'innovation, toutes les entités participantes seront également soumises à des demandes de partage de données (accès réciproque). Lorsqu'elles sont demandées au nom d'un consommateur, les données s'inscrivant dans la portée devront être partagées gratuitement, dans un format normalisé et lisible par machine.

L'interdiction de la capture de données d'écran entrera en vigueur une fois que le cadre sera pleinement opérationnel. Le ministère des Finances poursuivra ses consultations auprès des intervenants pour déterminer un calendrier approprié pour l'entrée en vigueur de cette interdiction. L'interdiction actuelle selon laquelle les banques ne peuvent partager les renseignements sur leurs clients dans le cadre de leurs activités d'assurance sera maintenue.

2.4 Accréditation

Un processus d'accréditation officiel et un ensemble de critères qui comprend un contrôle destiné à garantir la sécurité nationale feront en sorte que les Canadiens puissent partager leurs données financières aux entités fiables en toute confiance. Des processus et des critères sur mesure seront appliqués pour les différentes catégories d'entités. La Banque du Canada évaluera les demandes et publiera la liste des entités participantes accréditées dans un registre public centralisé. Une fois accréditée, une entité participante pourra faire une demande de partage de données selon les instructions du consommateur.

L'accréditation ne constituerait pas une obligation figée dans le temps. Les entités participantes seront tenues de communiquer des renseignements importants et au fur et à mesure que leur modèle d'affaires évolue, afin de conserver leur accréditation. La Banque du Canada aura le pouvoir de suspendre ou de révoquer l'accréditation d'une organisation si elle ne respecte pas ses obligations selon le cadre ou si elle présente un risque pour les consommateurs.

La Loi sur les services bancaires axés sur les consommateurs exigera également que les entités participantes qui souhaitent externaliser certaines tâches liées à la gestion du consentement, à la gestion de l'authentification et au transfert des données aient recours à un fournisseur de services tiers accrédité. Les entités participantes qui choisissent de le faire demeureront responsables de leurs obligations en vertu de la Loi.

Les fournisseurs de services tiers accrédités seront des entités qui répondent aux critères d'admissibilité exigés, y compris un contrôle pour garantir la sécurité nationale, et dont l'adhésion au cadre aura été approuvé par la Banque du Canada. Les fournisseurs de services tiers accrédités ne pourront participer au cadre qu'au nom d'une entité participante; ils ne seront pas eux-mêmes des entités participantes et ne seront pas autorisés à mener des activités bancaires axées sur les consommateurs en leur propre nom.

2.5 Règles communes

Pour instaurer la confiance et établir des conditions équitables selon lesquelles les nouveaux entrants et les entités établies peuvent innover et livrer leur concurrence tout en protégeant les consommateurs, le cadre comprend des règles communes qui définissent des obligations liées à la protection de la vie privée et au consentement, à la responsabilité, à la sécurité, à la sécurité nationale et à l'intégrité. Les règles communes viennent compléter les cadres législatifs en place, tels que la Loi sur les banques et la Loi sur les activités associées aux paiements de détail.

2.6 Vie privée et consentement

En ce qui concerne la protection de la vie privée, les entités participantes sont déjà tenues de se conformer aux cadres législatifs existants. Le cadre comprend des règles supplémentaires, propres au partage de données financières, qui clarifieront la distinction entre les activités de consentement et d'authentification pour les entités participantes, l'obligation d'un consentement exprès pour l'accès aux données, la gestion du consentement et le retrait du consentement. Les entités participantes devront gérer le consentement de manière claire, simple, non trompeuse et sans pression indue ni coercition. Les entités participantes devront reconfirmer leur consentement tous les 12 mois ou à la suite de certains événements.

Elles devront également fournir des tableaux de bord de gestion du consentement pour s'assurer que les consommateurs savent en temps réel qui a accès à leurs données, pour qu'ils puissent conserver le contrôle sur le type de données qu'ils partagent, les comptes d'où elles proviennent, la durée du consentement, ainsi que la possibilité de retirer l'accès.

Enfin, à moins d'indication contraire aux termes de la loi, les entités participantes seront tenues de supprimer les données d'un consommateur, à la demande de celui-ci, s'il ne renouvelle pas ou retire son consentement. Les entités participantes devront informer les consommateurs concernés de ce droit.

2.7 Responsabilité

La structure de responsabilité du cadre établira des règles et des responsabilités transparentes en ce qui concerne le partage, la fourniture et la réception des données, ce qui apportera une certitude aux entités participantes, facilitera l'attribution des responsabilités et protégera les consommateurs. Les consommateurs ne seront pas tenus responsables d'une perte financière qui survient directement à la suite du partage de leurs données dans le cadre, tant qu'ils n'auront pas fait preuve de négligence grave (ou de faute grave au Québec) dans la protection de leurs renseignements d'authentification.

La structure de responsabilité établit une relation prévue par la loi entre les entités participantes, éliminant ainsi le besoin de contrats bilatéraux entre elles. La responsabilité se déplace avec les données et incombe à la partie en défaut en cas de problème. Une entité participante n'est pas responsable des actions d'une autre entité participante (p. ex. erreurs ou infractions aux obligations en matière de protection) à laquelle elle a fourni des données ou de laquelle elle a reçu des données.

2.8 Traitement des plaintes

Les entités participantes devront également mettre en place des politiques et des procédures pour le traitement des plaintes afin de s'assurer que les consommateurs disposent d'une marche à suivre claire pour le règlement de leurs plaintes. Ces exigences sont conformes aux pratiques existantes dans le secteur financier.

2.9 Sécurité

Des exigences claires en matière de sécurité permettront de s'assurer que les entités participantes protègent les données des consommateurs. Plus précisément, les systèmes de gestion de la sécurité de l'information des entités participantes devront englober l'ensemble des personnes, processus, technologies et infrastructures qui entrent en interaction avec les données relatives à la portée par le biais et conformément au cadre.

Les exigences en matière de sécurité définies dans le cadre garantiront que toutes les entités participantes consacrent l'attention et les ressources nécessaires à la protection contre les risques.

2.10 Intégrité du secteur financier et sécurité nationale

Pour protéger l'intégrité et la sécurité du cadre des services bancaires axés sur les consommateurs, le cadre confère au ministre des Finances des pouvoirs compatibles avec les lois en vigueur dans le secteur financier, notamment la Loi sur les activités associées aux paiements au détail et la Loi sur les banques.

Le ministre pourra ainsi refuser, suspendre ou révoquer l'accès au cadre pour des raisons liées à la sécurité nationale.

2.11 Une norme technique canadienne unique

Les services bancaires axés sur les consommateurs réduiront considérablement les risques pour la sécurité, la vie privée et la responsabilité, car ils utiliseront des API, une technologie qui agit comme des « canaux » de données sécurisés permettant aux entités participantes de communiquer de manière uniforme entre elles. Une norme technique commune est essentielle au partage de données, car elle définit les spécifications selon lesquelles les API sont développées et soutient la fonctionnalité ainsi que l'interopérabilité.

Les entités participantes devront mettre en œuvre une norme technique unique et précise, pour donner une certitude aux organismes de réglementation et aux autres entités participantes. Cette norme commune offrira une certitude aux nouveaux adhérents, leur permettant d'allouer plus de ressources à l'innovation, favorisant ainsi une plus grande concurrence et un plus grand choix de produits et services financiers.

La Loi sur les services bancaires axés sur les consommateurs autorise le ministre des Finances à désigner un organisme de normalisation technique et établit les critères et facteurs à considérer pour évaluer les candidats. La Loi inclura d'autres facteurs pour s'assurer que la norme est élaborée en tenant compte des intérêts du Canada et souligner l'importance qu'un organisme de normalisation technique soit indépendant.

La Banque du Canada surveillera l'organisme de normalisation technique afin de s'assurer qu'il respecte le cadre et élabore la norme en tenant compte des objectifs de politique publique du Canada, notamment en matière de sécurité, concurrence, innovation et interopérabilité à l'échelle mondiale.

3. Prochaines étapes

Lorsque la Loi sur les services bancaires axés sur les consommateurs aura reçu la sanction royale, le ministère des Finances a l'intention de procéder à l'élaboration du règlement d'application. Le Ministère collaborera étroitement avec tous les intervenants concernés et la population canadienne, notamment en menant des consultations publiques une fois le projet de règlement publié.

Le Ministère poursuivra sa collaboration avec la Banque du Canada et d'autres partenaires gouvernementaux et organismes de réglementation clés pour préparer le lancement avec succès du Cadre canadien des services bancaires axés sur les consommateurs.

Parallèlement, le Ministère mènera des travaux de politique et des consultations pour faire avancer une deuxième phase des services bancaires axés sur les consommateurs, au cours de laquelle on envisagera d'accroître la portée en ce qui concerne la fonctionnalité et les participants.

Ces prochaines étapes contribueront à bâtir un secteur financier compétitif, centré sur le consommateur, qui favorise une croissance inclusive dans des services financiers sécurisés et axés sur les données.